IA et ressources humaines : ce que prévoit la réglementation en vigueur

L'AI Act classe les systèmes d'IA en quatre catégories de risques : inacceptable lorsque les systèmes sont considérés comme interdits, risque élevé, limité et minime.

Sans préjudice du fait que la loi IA interdit expressément lereconnaissance des émotions sur le lieu de travail, le notation socialel'exploitation des vulnérabilités d'une personne physique ou d'un groupe de personnes dues, par exemple, à l'âge, à un handicap ou à une condition physique spécifique, les systèmes d'identification biométrique à distance en temps réel dans l'espace public (sous réserve d'exceptions strictes), la reconnaissance biométrique de traits sensibles et lagrattage non ciblé d’images faciales pour créer des bases de données, la plupart des systèmes d’IA utilisés dans le secteur RH font partie des systèmes « à haut risque ».

Ceci étant donné que de tels systèmes peuvent avoir un impact significatif sur les droits fondamentaux, la santé et la sécurité des personnes physiques, également compris comme une influence importante sur le résultat du processus décisionnel. Pour pouvoir les utiliser, il est donc nécessaire qu'ils soient soumis à une évaluation minutieuse. Concrètement, les entreprises (appelées déployeurs) aura l'obligation de :

• les utiliser conformément aux instructions fournies, qui doivent contenir des informations concises, complètes, correctes, claires, pertinentes, accessibles et surtout compréhensibles. Les instructions doivent inclure, entre autres, l'identité et les coordonnées du fournisseur, le but, le niveau de précision que l'on peut attendre, les spécifications des données d'entrée et toute information permettant d'interpréter les résultats ;
• le garantir surveillance humaine, Le enregistrementl’exactitude, la robustesse, la cybersécurité et la qualité des données ;
• réaliser une analyse d’impact sur les droits fondamentaux (dite FRAI – Fundamental Right Impact Assessment), sur demande.

Les innovations introduites par la loi 132/2025

À côté des dispositions réglementaires contenues dans la loi IA, il existe deux articles que la loi 132/2025 consacre au secteur RH (11 et 12) qui, en tant que tels, ne peuvent donc pas être négligés par les entreprises qui envisagent d'utiliser de tels systèmes.

Article 11

Précisément, dans l'art. 11 définit le principe général selon lequel les systèmes d'IA doivent être utilisés pour améliorer les conditions de travail, protéger l'intégrité psychophysique des travailleurs, augmenter la qualité des performances au travail et la productivité des personnes, conformément au droit de l'UE.

Mais pas seulement. Le législateur estime également que l’utilisation des systèmes d’IA sur le lieu de travail doit :

• être sûr, fiable et transparent et ne peut être réalisé en conflit avec la dignité humaine, ni violer la confidentialité des données personnelles ;
• garantir le respect des droits inviolables du travailleur sans discrimination fondée sur le sexe, l'âge, les origines ethniques, les croyances religieuses, l'orientation sexuelle, les opinions politiques et les conditions personnelles, sociales et économiques.

Une fois de plus, il apparaît donc clairement qu’avant de pouvoir utiliser des systèmes d’IA, les entreprises ont la charge de procéder à une évaluation minutieuse et à un équilibre entre les avantages qui en découlent, d’une part (y compris le temps et la qualité du travail) et les aspects éthiques, d’autre part.

Article 12

L'art. L’article 12 est cependant plus technique et prévoit la création au ministère du Travail et des Politiques sociales de l’Observatoire sur l’adoption des systèmes d’IA dans le monde du travail dans le but de définir une stratégie sur l’utilisation de l’IA sur le lieu de travail, de suivre l’impact sur le marché du travail et d’identifier les secteurs de travail les plus touchés par l’avènement de l’IA.

L'Observatoire agira également en tant que promoteur de la formation des travailleurs et des employeurs sur l'IA, un aspect très pertinent pour une utilisation correcte et surtout consciente de cette technologie.

Les précautions à prendre lors du traitement des données personnelles

Mais côté vie privée, quelles sont les précautions à prendre en considération ?

Comme prévu, l'utilisation de systèmes d'IA dans le secteur des ressources humaines et au-delà implique la configuration d'une série de traitements de données personnelles et particulières qui, en tant que telles, doivent être mises en œuvre avec l'attention voulue et dans le respect, avant tout, des dispositions du RGPD.

Il faut donc que :

• les parties intéressées (candidats ou salariés) sont informées de manière claire et transparente sur l’utilisation des systèmes d’IA, le fonctionnement de leurs algorithmes et l’impact que ceux-ci ont sur les décisions ;
• le traitement des données personnelles repose sur une base juridique solide ;
• le principe de minimisation et le principe de limitation de conservation sont garantis. Les données personnelles collectées par les systèmes d’IA doivent en effet être pertinentes, nécessaires et non excessives au regard de la finalité pour laquelle elles ont été collectées et ne peuvent être conservées plus longtemps que ce qui est réellement nécessaire.

Par ailleurs, il ne faut pas oublier que l'art. 22 du RGPD reconnaît l'intéressé « le droit de ne pas être soumis à une décision basée uniquement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques vous concernant ou vous affecte de manière significative de manière similaire», sauf dans le cas où la décision :

i) est nécessaire à la conclusion ou à l'exécution d'un contrat,

ii) est expressément autorisé par une loi,

iii) est basé sur le consentement explicite de l'intéressé. Dans de tels cas, une protection adéquate doit toutefois être garantie, comme l'intervention humaine, la possibilité d'exprimer des opinions et de contester les décisions.

Des précautions similaires ont également été prévues par notre législateur avec la loi 132/2025. Le législateur estime en effet que le développement et l'application des systèmes d'IA doivent se faire dans le respect de l'autonomie humaine et du pouvoir de décision, de la connaissabilité, de la transparence et de la protection des données personnelles.

Sur ce dernier aspect, l'art. 4 est clair en prévoyant que le traitement des données personnelles doit avoir lieu de manière licite, correcte et transparente, ainsi qu'être compatible avec les finalités poursuivies. Et, là encore, les informations relatives au traitement des données personnelles liées à l'utilisation de systèmes d'IA doivent être fournies dans un langage simple et clair, de manière à permettre à l'intéressé de comprendre les risques liés et d'exercer son droit d'opposition au traitement.

Conclusions

Il est donc clair que l’utilisation de systèmes d’IA implique pour les entreprises (telles que déployeurs et titulaires du traitement de données personnelles), l'exécution de toute une série d'obligations sur de multiples fronts. Ces obligations, en plus de devoir être abordées avec le plus grand sérieux, ne peuvent être évitées car elles sont fondamentales pour garantir une innovation responsable et protéger la dignité des travailleurs.